ike-scan ne dobiva odgovor od ispravnog IPsec pristupnika

Pristupnik svakodnevno poslužuje telefone i prijenosna računala, a ipak ike-scan javlja da nije odgovorio nijedan host. Taj izlaz izgleda kao dokaz da na uređaju nedostaje IPsec. Obično to znači da je uređaj odbacio svaki predložak u sondi i odlučio ne odgovoriti ništa. Tišina je odgovor i ona je najmanje informativan odgovor koji vam alat može dati.

Prođite kroz tri odvojena pitanja: je li paket stigao, je li se poklopio koji predložak i je li nešto drugo odbilo partnera?

Korak 1: pročitajte predložak koji alat šalje

Glavni način počinje SA korisnim teretom koji navodi transformacije koje će inicijator prihvatiti, a ike-scan popunjava taj popis iz prevedenog zadanog skupa. Zadani skup namjerno je star: DES i 3DES za šifriranje, MD5 i SHA1 za sažimanje, grupe 1 i 2 za razmjenu ključeva, unaprijed dijeljeni ključevi za autentifikaciju. Nema AES-a, nema SHA-2, nema grupe 14. Pristupnik konfiguriran za AES-256 sa SHA-256 i modp2048 ne dijeli ništa s njim.

Neke implementacije odgovaraju na neusklađenu sondu obaviješću NO-PROPOSAL-CHOSEN. Druge je jednostavno odbace, što je uobičajeno na uređajima koji nepoznate partnere tretiraju kao šum. U svakom slučaju skeniranje ne ispisuje ništa, a to ništa identično je onome kako filtrirani UDP 500 izgleda izvana, kao što dokumentacija projekta ike-scan jasno pokazuje za zadani skup.

Korak 2: ponudite jedan moderan predložak

Zamijenite zadani skup s --trans. Atributni oblik preuzima brojeve IKE atributa izravno: 1 za šifriranje, 2 za sažetak, 3 za autentifikaciju, 4 za grupu i 14 za duljinu ključa kada je algoritam prihvaća. Rezultat je redak koji možete pročitati naglas na pregledu promjene.

Pozicijski oblik nosi iste vrijednosti po redu i izbjegava zagrade, što je važno kada naredba prolazi kroz ljusku.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Jedan predložak po paketu spor je pri nabrajanju, pa prođite kroz vjerojatne vrijednosti: šifriranje 5, 7/128, 7/192, 7/256; sažetak 1, 2, 5, 6, 7; grupe 1, 2, 5, 14, 15, 19, 20, 21; autentifikacija 1 za unaprijed dijeljeni ključ i 3 za RSA potpise. Ispišite svaku naredbu prije pokretanja kako bi transkript pokazao što je ponuđeno i kojim redom.

Korak 3: protumačite odgovor

Odgovor dokazuje točno dvije stvari: IKE odgovarač dostupan je na toj adresi i jedan ponuđeni predložak bio je prihvatljiv. Ne govori ništa o unaprijed dijeljenom ključu, sloju L2TP ili o tome postoji li korisnički račun. Uspješno skeniranje potpuno je spojivo s neuspjehom svake kasnije faze.

Na pristupniku kojim upravljate, to je doista koristan dio. Skeniranje vam kaže koje predloške uređaj još prihvaća, a rezultat ograničen na zastarjele transformacije nalaz je o politici uređaja, ne razlog da oslabite klijenta.

Korak 4: protumačite tišinu

Tišina je slabiji dokaz nego što izgleda. Svaki predložak možda je odbijen, UDP 500 i 4500 možda su filtrirani, izvor može biti ograničen po brzini nakon rafala, ili usluga može slušati na drugoj adresi od one koju ste skenirali. Usporedite IKE zapisnik pristupnika s klijentom koji se već povezuje s valjanim vjerodajnicama prije nego zaključite bilo što o kutiji.

Ponašanje pri rafalima pripada tom popisu jer nabrajanje stvara mnogo paketa u kratkom prozoru. Pristupnik koji odgovara na prve pokušaje, a zatim utihne, opisuje svoju anti-DoS politiku, a ne svoj skup predložaka.

Korak 5: zabilježite što ste dokazali

Zapišite prihvaćenu kombinaciju uz verziju firmvera, pa je usporedite s transformacijama koje klijenti koji vas zanimaju nude prema zadanim postavkama. Razlika između tih dvaju popisa jest problem konfiguracije, a skeniranje ju je samo učinilo vidljivom. Ako su jedini prihvaćeni predlošci oni koje ne biste odabrali, popravak pripada politici pristupnika ili profilu klijenta, nikada sondi.

Sonda koja nikada nije odgovorila ipak je nešto odgovorila: pokazuje koje je predloške ovaj uređaj spreman razmotriti i koje bi radije ispustio na pod.